Nowe przepisy o cyberbezpieczeństwie. Eksperci: to będzie sąd kapturowy

Pilna nowelizacja ustawy o cyberbezpieczeństwie jest konieczna ze względu na konieczność implementacji do polskiego systemu prawnego unijnej dyrektywy NIS 2 (Network and Information Systems Directive 2). Termin minie 17 października.

Czytaj więcej:

Biznes

Nowe obowiązki dla sektora komunikacji elektronicznej na niechciane połączenia

Przedsiębiorcy komunikacji elektronicznej oraz podmioty z nimi współpracujące będą obowiązane do zachowania tajemnicy komunikacji elektronicznej, a także do zachowania należytej staranności przy zabezpieczaniu urządzeń telekomunikacyjnych. Przepisy zaczną obowiązywać już w listopadzie.

Pro

NIS 2 ustanawia ogólne standardy w zakresie cyberbezpieczeństwa jednostek krytycznych dla funkcjonowania społeczeństwa UE oraz określa nowe zasady bezpieczeństwa dla operatorów usług kluczowych nie tylko w sektorze publicznym, ale również w prywatnym: w energetyce, bankowości czy opiece zdrowotnej. Tymczasem w Polsce projekt nowelizacji ustawy o cyberbezpieczeństwie zakłada, że nowymi regulacjami, oprócz podmiotów wskazanych bezpośrednio w NIS 2, objęte będą: administracja publiczna w zakresie zdecydowanie bardziej rozszerzonym niż zakłada to dyrektywa oraz m.in.: sektor farmaceutyczny i instytucje edukacyjne.

- Projekt nowelizacji ustawy implementującej NIS 2 do polskiego systemu prawnego zawiera przepisy surowsze od tych zawartych w treści dyrektywy – mówi dr hab. Marcin Górski, wykładowca na wydziale prawa i administracji Uniwersytetu Łódzkiego, specjalista w zakresie prawa europejskiego.

Jako przykład wskazuje zawarte w ustawie skrócenie do 7 dni kalendarzowych terminu na podanie informacji, czy dany podmiot należy kwalifikować jako kluczowy lub ważny z punktu widzenia bezpieczeństwa państwa.

- Można sobie wyobrazić firmę produkującą zaawansowane elektronicznie produkty, do której trafia takie wezwanie, np. przed długim weekendem - mówi Marcin Górski. – Pracownicy na urlopach, wypełnienie formularza wymaga pracy i wiedzy wielu osób, jest po prostu niewykonalne – dodaje.

Zauważa też, że dyrektywa NIS 2 po przeprowadzonym audycie przedsiębiorstwo wprowadza zalecenia w rozsądnym terminie. - Natomiast polski projekt implementacji NIS 2 zakłada, że termin na realizację zaleceń audytora określa audytor. W rezultacie przedsiębiorca będzie musiał stanąć na głowie i wdrożyć zalecenia, najpewniej płacąc za audyt nieporównywalnie więcej niż dotychczas, bo popyt na audytorów będzie się zwiększał w gwałtownym tempie .– dodaje.

Firmy wykluczone z rynku na podstawie decyzji urzędników

W ocenie eksperta projekt ustawy implementującej NIS 2 wprowadza również do polskiego systemu prawnego rozwiązania, których ta dyrektywa w ogóle nie przewiduje.

- To metoda tzw. goldplatingu - pozłacania, czyli wprowadzania zupełnie nowych rozwiązań równolegle z wdrażaniem unijnych regulacji – mówi Marcin Górski. – Jednym z tych, które w projekcie nowelizacji o cyberbezpieczeństwie budzą bodaj największe wątpliwości, jest przyznanie ministrowi cyfryzacji uprawnień do orzekania, kto jest dostawcą wysokiego ryzyka – dodaje.

Czytaj więcej:

Biznes

Skomplikowane losy reformy krajowych przepisów o cyberbezpieczeństwie

Patrząc na możliwe naruszenia prawa unijnego, dalsze procedowanie projektu w aktualnym kształcie jest co najmniej wątpliwe.

Pro

Jak wyjaśnia, ustawodawca nie podaje żadnych kryteriów, na podstawie których minister cyfryzacji oceniałby, czy daną firmę można zaliczyć do grupy dostawców wysokiego ryzyka.

- Minister cyfryzacji dostaje rolę arbitra nieskrępowanego żadnymi przesłankami, na podstawie który wydaje decyzje administracyjną – mówi Marcin Górski. – Jego decyzja jest natychmiastowo wykonalna. Naturalnie, przedsiębiorca będzie mógł ją zaskarżyć w sądzie administracyjnym. Ale sądy administracyjne badają sprawy pod kontem zgodności decyzji z prawem, a nie faktografii. Na dodatek w wielu przypadkach przesłanki, na podstawie których będzie opierał się szef resortu cyfryzacji będą miały charakter niejawny i strony nie będą mogła ich ponieść w trakcie postępowania – dodaje.

Zwłaszcza że uznanie danego przedsiębiorcy za dostawcę wysokiego ryzyka będzie równoznaczne z całkowitym wykluczeniem go z działalności na polskim rynku. - Zgodnie z projektem nowelizacji dotychczasowi kontrahenci dostawcy ze statusem wysokiego ryzyka będą musieli zerwać z nim dotychczasowe kontrakty, dostaną zakaz utrzymywania z nim stosunków handlowych – mówi. – Jeśli weźmiemy pod uwagę czas trwania postępowań sądowych w Polsce, można stwierdzić, że firmy zakwalifikowane jako dostawcy wysokiego ryzyka zostaną pozbawione efektywnego środka ochrony prawnej. Mogą zostać zdewastowane przez arbitralną decyzje ministra cyfryzacji, podjętą w pewnej mierze na podstawie informacji niejawnych – dodaje.

Ekspert zauważa, że projekt nowelizacji ustawy o cyberbezpieczeństwie tworzy de facto instytucję sądu kapturowego. – O tym, który dostawca dostanie status wysokiego ryzyka ma rozstrzygać wąskie grono urzędników według nieokreślonych prawem zasad – mówi. – Przypuszczam, że resort cyfryzacji i legislatorzy nie mają złych intencji i chcą wprowadzić ustawę, która podniesie poziom bezpieczeństwa w Polsce. Można sobie jednak wyobrazić, że za kilka lat właściciele i zarząd pewnej formy wpłacą maksymalne kwoty na fundusz wyborczy konkretnej partii politycznej. Następnie należący do tej partii minister cyfryzacji uzna za dostawcę wysokiego ryzyka firmę konkurencyjną dla tej, która hojnie dotowała partię władzy. Ustawodawca powinien brac pod uwagę zaistnienie tego typu ryzyka – ostrzega Marcin Górski.

Estonia zabiezpieczyła się przed cyberterroryzmem

Z kolei w ocenie Andrzeja Sadowskiego, prezydenta Centrum im. Adama Smitha rozwiązaniami dyskrecjonalnym, a do takich zalicza projekt nowelizacji implementującej dyrektywę NIS, nie da się podwyższyć poziomu cyberbezpieczeństwa w Polsce.

- O pozycji państw na świecie decydują dziś w ogromnej mierze technologie, którymi dysponują – mówi. – Niektóre państwa absorbują technologie ze wszystkich możliwych miejsc, adoptując je na własne potrzeby i udoskonalając. Przykładem państwa otwartego na technologie z całego świata jest Izrael, który oprócz tworzenia własnych adoptuje je do własnych celów – dodaje Andrzej Sadowski.

Czytaj więcej

Opinie Prawne

Blockchain: przed Polską prawdziwe szanse

Blockchain doceniany jest już m.in. w usługach prawnych, służbie zdrowia, handlu czy administracji publicznej. A możemy zyskać jeszcze więcej na zwiększonej wydajności wynikającej z bezpośredniej aplikacji technologii w świadczeniu usług rządowych czy rozwiązania adaptowane w sektorze prywatnym – zauważają eksperci.

W jego ocenie nawet technologie najistotniejsze znaczenie ma konkurencyjność i jakość technologii oraz umiejętność ich bezpiecznego zastosowania, a nie miejsce, z którego pochodzi.

- Kupujemy przecież technologię, a nie firmę, która ją posiada – mówi Andrzej Sadowski. – Jeśli wprowadzimy kryterium państwa pochodzenia przy wyborze dostawców technologii, eliminujemy te, które mogą okazać się najbardziej konkurencyjne. Tymczasem nawet technologie z państw uchodzących za nieprzyjazne można zaadaptować tak, by nie stanowiły zagrożenia dla bezpieczeństwa państwa – uważa Andrzej Sadowski. Prezydent Centrum im. Adama Smitha wskazuje na przykład Estonii, która po wejściu do Unii Europejskiej w reakcji na cyberterroryzm w roku 2007 ze strony Rosji zastosowała powszechnie kryptograficzną technologię blockchain.

- Tę kojarzoną z kryptowalutami technologię Estonia zastosowała szeroko w administracji państwowej – opisuje Andrzej Sadowski. – Blockchain umożliwia integracje integrację bardzo różnych systemów informatycznych w jeden. Dzięki temu estoński systemu opieki zdrowotnej należy do najsprawniejszych na świecie. W przypadku gdy w tym państwie ktoś np. zasłabnie na ulicy, to pogotowie od momentu zgłoszenia dysponuje pełną informacją medyczną na jego temat i dzięki temu wiadomo, jakiego rodzaju pomoc należy zastosować – zaznacza Sadowski. Dodaje, że aż 95 proc. usług urzędowych w Estonii jest dostępnych online, w tym można również głosować, rejestrować samochody i noworodki, co oszczędza czas obywatelom, bo formalności zajmują zaledwie kilka minut.

Andrzej Sadowski zauważa też, że dzięki właściwemu zastosowaniu nowoczesnej technologii Estonia zabezpieczyła się przed agresją Federacji Rosyjskiej tworząc cyfrowe kopie swojego państwa w chmurze na serwerach zlokalizowanych różnych kontynentach. - Są tam umieszczone kopie wszystkich hipotek, aktów urodzenia, zgonów – komplet dokumentów, dzięki którym można zarządzać państwem z zagranicy dzięki „ciągłości cyfrowej” po potencjalnym zajęciu go przez Federację Rosyjską – mówi ekspert.  

Rozwiązania korupcjogenne i niebezpieczne

W ocenie Andrzeja Sadowskiego twórcy projektu nowelizacji ustawy o cyberbezpieczeństwie błędnie założyli, że poziom bezpieczeństwa Polski można podnieść, wprowadzając do systemu prawnego mechanizm arbitralnej oceny dostawców technologii przez administrację rządową.